Frodi in crescita con il phishing
Aumentano le frodi e aumentano i costi. Al contrario, le possibili difese
stentano a essere organizzate: siamo di fronte a un pericolo per l'e-commerce e i servizi di e-banking?
Le frodi online costituiscono un pericolo sempre più grande e con costi sempre maggiori. A essere nel mirino sono
direttamente i conti correnti bancari e la questione diventa ancor più difficile da combattere: è il
cosiddetto phishing, la tecnica
di usare e-mail "esca" per carpire le informazioni necessarie a operare sul conto corrente online. La
società di analisi statunitense Gartner ha calcolato che nell'ultimo anno si sono registrate perdite pari a oltre
6 miliardi di dollari imputabili a questo tipo di frodi.
Camuffarsi per ingannare
Il phishing è fenomeno in costante espansione: utilizza le stesse strategie di comunicazione di banche e istituti
di credito.
Il cliente riceve una e-mail all'apparenza - per grafica, contenuto e stile - proveniente dalla sua banca. In
realtà, un inganno: l'e-mail dirotta il cliente su un sito civetta, anche questo copia di quello bancario. Da
lì, tutte le informazioni bancarie personali possono essere comodamente estorte. E naturalmente, l'inganno
può riguardare anche siti di e-commerce o aziendali. Grandi aziende e famosi istituti bancari sono stati
"clonati" per raggirare l'utente. I delinquenti utilizzano le informazioni estorte per svuotare i conti
correnti con bancomat e carte di credito rubate, oppure per fare acquisti online molto costosi. Alcune banche e gestori
di carte di credito sono in grado di rimediare parzialmente al misfatto, facendosi carico delle perdite cui gli utenti
vanno incontro. Molto resta ancora da fare, tuttavia, in fase di prevenzione: il divario esistente tra le strategie
utilizzate nelle frodi online e i sistemi di difesa stenta a essere colmato.
L'indagine Gartner
L'indagine condotta da Gartner mette in evidenza come gli attacchi di phishing siano cresciuti, tra maggio 2004 e lo
stesso mese 2005, del 28% rispetto all'anno precedente. Lo studio è stato condotto su un campione di 5.000
clienti bancari statunitensi che operano via internet. Così, le proiezioni hanno riportato una stima di oltre 73
milioni di utenti in tutto il mondo che hanno ricevuto una e-mail fasulla, a fronte dei 57 milioni colpiti dal phishing
l'anno precedente. Anche l'ammontare delle cifre estorte è impressionante: le transazioni via Internet hanno
provocato sottrazioni per 3,5 miliardi di dollari, coinvolgendo quasi due milioni di navigatori, con una perdita media di
1.800 dollari per operazione.
Phishing in Italia
Fino a questa estate il fenomeno in Italia era piuttosto contenuto. Infatti, erano già circolate e-mail esca in
passato ma, elaborate da centrali criminali straniere, non avevano prodotto grandi problemi perché riferite a
istituti stranieri o - nei pochi casi di banche italiane - in inglese, e quindi alla clientela estera. Quest'estate
però sono cominciate a circolare e-mail riferite a istituti bancari italiani, in italiano. La Guardia di Finanza
di Milano, nel luglio scorso, ha arrestato 28 persone accusate di aver sottratto ingenti quantità di denaro a 400
clienti bancari. La difficoltà nello smascherare i messaggi ingannevoli esiste, e il problema rischia di essere un
ostacolo alla diffusione dei servizi Web. Anche il Governo cerca di correre ai ripari e ha quindi varato una legge per la
creazione di un maxi-archivio per
tutelare le carte di pagamento elettroniche.
Difendere il consumatore
Il tema della difesa del consumatore e della sicurezza delle operazioni è centrale anche secondo Gartner: in un
improbabile confronto tra furti del portafoglio e frodi online, il rapporto sarebbe di 1 a 2,4. Questo dato, giusto o
sbagliato che sia il metro di paragone, sta allarmando in misura crescente il pubblico americano che chiede soluzioni. Le
esigenze e le richieste più immediate sono sostanzialmente due:
| 1) |
trovare un sistema impossibile da contraffare per garantire la
genuinità dei siti e quindi poterli distinguere facilmente dai siti esca |
| 2) |
sviluppare nuovi e ulteriori sistemi di sicurezza per l'uso delle
carte di credito online |
In America, un ulteriore problema è dato dall'assenza, nei bancomat emessi da alcuni operatori, di codici di
validazione sulla banda magnetica. In caso di clonazione, i codici sarebbero un ostacolo impossibile da superare per i
ladri.
La vera scommessa da vincere per le banche, secondo gli analisti della società americana, riguarda però la
realizzazione di un sistema di rilevamento delle transazioni anomale di un cliente, che permetta alla banca di accertare
l'identità dell'utente in modo inequivocabile.
Pericolo per Internet?
Il fenomeno del phishing sta contribuendo a far crescere la sfiducia del pubblico verso Internet? Difficile da giudicare,
soprattutto nel breve periodo. Sicuramente la combinazione spam + phishing, tecniche che utilizzano entrambe la posta
elettronica, porta esasperazione nei confronti di quel servizio Internet. Non bisogna dimenticare che volendo paragonare
il phishing alla pesca, non si tratta di pesca con la canna, ma con la rete!
Le e-mail esca sono spedite secondo la tecnica dello spam, e i malintenzionati sperano e di solito riescono a colpire nel
mucchio: inviando 100.000 messaggi, troveranno almeno un 2-3% di clienti della banca clonata, e magari almeno un
2-3% di questi cade nell'inganno. Non sono cifre da capogiro, ma facendo due conti ci si accorge che il giro non
è piccolo, soprattutto perché il phishing è una tecnica riproducibile abbastanza a lungo (fino a
quando non viene scoperta) e ripetutamente, anche tutti i giorni.
Possibili soluzioni
La prevenzione da fare, quindi, è a monte: forse è il caso che società tecnologiche, produttori di
antivirus e ISP si diano da fare per contrastare seriamente il fenomeno dello spam. Anche il phishing, in definitiva,
è nient'altro che un messaggio indesiderato. Con un sistema antispam efficace, probabilmente si bloccherebbe quasi
completamente il phishing. La seconda soluzione deve essere messa in atto dai siti di e-commerce per tutelare almeno gli
acquisti online. In questo caso, il semplice inserimento della richiesta del codice di sicurezza delle carte di credito
(il codice a tre cifre sul retro della carta) al momento dell'acquisto (e solo in quel momento), potrebbe essere un
deterrente sufficiente: non c'è motivo di comunicarlo alla propria banca, e quindi è difficile che cada
nella rete del phishing, e non c'è motivo che resti tra i dati sensibili dei siti a cui si è iscritti
online.
 |
